Redcap

Um grupo de espionagem vinculado à China infiltrou-se em redes de pesquisa médica, acadêmica e militar na América do Norte por mais de um ano, roubando informações sensíveis. A entrada ocorreu através de uma porta dos fundos em servidores REDCap, utilizados para gerenciar bancos de dados de estudos. Os atacantes implementaram um malware chamado INFINITERED, que permitiu o roubo de credenciais e o controle do sistema. O método de exfiltração foi inovador: os atacantes manipularam regras de conformidade de conteúdo do Google Workspace para copiar e-mails que correspondiam a palavras-chave específicas para uma conta de e-mail controlada por eles. O Google identificou a campanha e notificou as organizações afetadas, interrompendo a infraestrutura do grupo. A vulnerabilidade inicial não foi especificada, mas o Google observou que o grupo estava explorando versões antigas e vulneráveis do REDCap. A exfiltração de e-mails foi realizada sem a necessidade de malware adicional no servidor de e-mail, utilizando apenas uma funcionalidade legítima do Google Workspace. Este incidente destaca a importância de revisar e proteger as regras de conformidade de conteúdo em ambientes de nuvem.

Uma campanha de espionagem atribuída ao grupo UNC6508, vinculado à China, comprometeu servidores expostos da plataforma REDCap, utilizada em pesquisas médicas e científicas. Os pesquisadores do Google Threat Intelligence Group (GTIG) identificaram que a invasão ocorreu em setembro de 2023 e se estendeu por mais de um ano, com a implementação do malware InfiniteRed, que foi projetado especificamente para sistemas REDCap. Este malware possui três componentes principais: um módulo de persistência, um coletor de credenciais e uma porta dos fundos. O coletor captura nomes de usuário e senhas, armazenando-os em tabelas de banco de dados locais. Além disso, os atacantes utilizaram uma técnica inovadora para exfiltrar dados, criando uma regra de conformidade de conteúdo que enviava informações sensíveis por e-mail. O GTIG recomenda que administradores do REDCap atualizem suas versões e implementem autenticação multifator (MFA) para proteger contas de alto privilégio. O incidente destaca a necessidade de vigilância constante e atualização de sistemas para evitar compromissos semelhantes.